ID-kaardis leiti turvaauk
“Pangaümbrikud ei paista läbi, mobiilifirmade PIN-koodidega ümbrikud ei paista läbi, aga ID-kaardi ümbrik paistab,“ ütles vea avastanud Kristjan Kotkas, kes esmalt teavitas oma avastusest uudistelehekülje Minut.ee lugejaid. “Paned vastu tavalist päevavalguslampi ja vaatad. Numbrid on veel rasvase kirjaga tehtud, et ikka eriti hästi ümbrikust välja paistaks.“
Turvaümbrikus oleval paberil on kirjas ID-kaardi PIN-koodid ja PUK-kood, mis on vajalikud näiteks digitaalallkirjade andmiseks. ID-kaardi abil dokumendile antud allkiri võrdub seaduse ees käsitsi kirjutatud allkirjaga.
Väga tõenäoliselt on vigased kõik või suurem osa seni väljastatud ID-kaartide ümbrikest, sest ümbrikud osteti sisse partiina. Arvutispetsialist Peeter Marvet proovis lambi all vaadata veel ühte ID-kaardi ümbrikku ning ka see paistis läbi.
Turvaspetsialistide hinnangul on tegemist ülisuurt turvalisust nõudva ID-kaardi projekti väga raske veaga.
“On ka nii hullusti või? Ma kohe ei oskagi muud küsida, et kas tõesti on nii hullusti või?“ oli andmekaitseinspektsiooni peadirektori kohusetäitja Hillar Aarelaid keeletu. “Ausalt öeldes ma olen sõnatu. Sellist apsakat küll ei oodanud.“
Kaardi usaldus kaalul. Andmeturbefirma Privador infojuht Jaanus Kase ütles, et juhtumi puhul on inimeste usalduse vähenemine ID-kaardi vastu suurem probleem kui konkreetsete PIN- ja PUK-koodide nägemine.
“Inimestele on väidetud, et kogu ID-kaartide protsess on turvaline ja koodid antakse üle salajases turvaümbrikus, kust neid koode keegi enne avamist ei näe,“ lausus Kase. “See väide osutus nüüd valeks, mis kahandab usaldust kõigi ID-kaardiga seonduvate teemade vastu.“
Vea ärakasutamine ei ole spetsialistide sõnul tõepoolest lihtne, sest selleks peab kurjategijal olema nii konkreetse inimese kaart kui ka koodid, ja seda eeldusel, et kasutaja pole koode ise vahetanud. Samas on aga asjatundjate sõnul tegu põhimõttelise küsimusega, kas ID-kaart on turvaline või mitte.
Kodakondsus- ja migratsiooniameti pressiesindaja Heikki Kirotar ütles, et ümbrike eest vastutab kaarte trükkiv Šveitsi firma Trüb AG.
Samas tunnistas Kirotar, et turvaümbrikele ei ole kehtestatud kvaliteedi- või turvanõudeid. Kirotar ei soovinud öelda, kas olemasolevate kaartide laialijagamine lõpetatakse või mitte.
Trükkija süüdistab tarnijat. Trüb Baltic juhatuse liige Matti Klaar ütles, et läbipaistvate ümbrike trükkimine on tõesti piinlik lugu, kuid lükkas kõik Trübi vastu esitatud süüdistused ümber.
“Trüb ei tee neid ümbrikke. Siin ei ole üldse Trübiga midagi pistmist, Trüb on tellinud midagi, mis on defektne,“ väitis Klaar. Ta lisas, et ümbrikke tarnivale Saksa firmale on probleemist teatatud.
Klaar ütles, et tänasest muudab Trüb ümbrikke trükkimise tehnoloogiat. Koodid trükitakse paberile väiksemalt ja heledamalt, et need enam läbi ümbriku ei paistaks.
ID-kaardi valmistamine ja nendesse andmete sisestamine läks riigile maksma üle 330 miljoni krooni. Selle loodab riik tagasi saada riigilõivudena nelja aasta jooksul.
Asjatundja: vigu võib veel olla
Turvaspetsialisti Anto Veldre sõnul annab apsakas ümbrikuga alust oletada, et ka muudes turvameetmetes võib esineda lõtk kavade ja tegelikkuse vahel.
Veldre sõnul peaks riik nüüd koostama nimekirja inimestest, kes ümbrike töötlemise käigus on nendega kokku puutunud.
“Olenevalt seltskonna suurusest ja taustast võib kõne alla tulla, et kaalutud risk on tühine ning seni välja antud kaarte ei tühistata,“ ütles Veldre.
Ta lisas, et igal juhul peaks peatama veel laos olevate ümbrike trükkimise ja juba valmistatud, kuid veel väljastamata ID-kaartide kätteandmise. Lisaks tuleks tema sõnul praegustele ID-kaardi omanikele vastavasisuline kiri saata ning neid turvaohu eest hoiatada.
“Kuivõrd turvarikkest on avalikult teada antud, siis hetkel on koodide kuritarvitamise oht eriti suur,“ lausus Veldre.
